Security Reporting

01报告渠道

安全事件、漏洞或疑似数据泄露，请通过以下渠道报告：

这是本网站目前公开的安全报告渠道。我们不会要求你通过非官方社交媒体或即时通讯工具提交敏感漏洞细节。

02报告范围

本页适用于由七乐彩杭州传媒有限公司运营的网站与公开服务，包括：

• qlecloud.com 网站及其公开页面；
• 与网站相关的身份验证、访问控制、数据传输和基础设施配置问题；
• 可能导致信息泄露、服务中断、未授权访问或数据完整性受损的漏洞。

不在范围内：Amazon 平台本身、Amazon Ads API 或 SP-API、第三方云服务商的基础设施，以及社会工程、物理入侵、拒绝服务攻击、垃圾邮件或对第三方系统的测试。若问题涉及第三方，请直接联系该第三方。

截至本页更新日，我们尚未获得 Amazon Ads API 权限，因此不存在可通过本网站测试的 Amazon Ads API 集成端点。

03建议提供的信息

为帮助我们更快定位问题，建议在报告中提供：

• 受影响的页面、端点或功能，以及问题类型；
• 可复现的步骤、时间、浏览器/设备信息；
• 影响评估：可能读取、修改或删除哪些数据，是否需要用户交互；
• 概念验证（PoC）的最小化说明，避免包含真实客户数据；
• 你的联系方式和期望的沟通方式。

请不要在报告中提交他人的个人信息、未脱敏的访问令牌或可能破坏数据的内容。

04跟踪与响应流程

我们采用以下流程处理安全报告：

1. 接收与确认：收到报告后，我们会确认收件并分配内部跟踪编号。
2. 初步分级：根据影响范围、可利用性和数据敏感度评估严重程度。
3. 调查与遏制：复现问题，必要时采取临时缓解措施，限制影响扩大。
4. 修复与验证：完成修复后验证效果，并检查是否存在同类问题。
5. 关闭与复盘：在适当范围内同步处理结果，并记录改进措施。

处理时间取决于问题复杂度、影响范围和验证所需的信息。我们会在合理时间内同步进展；如需要补充信息，会通过邮件联系你。

05沟通方式

我们优先使用邮件沟通，以便保留处理记录。每份报告会有一个内部跟踪编号，用于后续邮件往来。若你希望匿名报告，可以不提供身份信息，但可能影响我们核实问题或反馈处理结果。

在问题修复前，请避免公开披露漏洞细节或可能被利用的攻击方法。我们会在合理范围内与你协调公开时间。

06安全研究边界

我们欢迎善意的安全研究，但研究必须遵守以下边界：

• 仅测试你拥有或获得明确授权测试的账户与数据；
• 不得访问、修改、删除或公开他人的数据；
• 不得进行拒绝服务、社会工程、物理入侵或影响服务可用性的测试；
• 不得测试 Amazon 或第三方平台，除非该第三方另行授权；
• 发现问题后应尽快报告，并给予合理修复时间。

对于遵守本页原则的善意研究，我们不会主动采取法律行动；但本页不构成对任何第三方权利的豁免，也不授权你测试非我们运营的系统。

07赏金计划

我们目前没有公开的漏洞赏金（bug bounty）计划。是否提供奖励将根据具体情况单独评估，本页不构成奖励承诺。无论是否提供奖励，我们都会认真处理符合范围的安全报告。

08报告数据保护

你提供的报告内容仅用于调查、修复和必要的合规记录。我们不会将报告人的个人信息用于营销目的。报告中的个人信息和漏洞细节按 隐私声明 处理，并限制在有必要知悉的人员范围内。

如报告涉及个人数据泄露，我们会依据适用法律评估通知义务，并采取相应的补救措施。

09联系方式